2023年，安全一个ID叫“sqr00t”的漏洞研究员在特斯拉的车辆系统中发现了一个漏洞——通过它，可以远程控制十几辆别人的奖励机制车，包括解锁车门和启动引擎。安全他没有选择卖掉这个漏洞（在黑市上，漏洞这种级别的奖励机制漏洞能卖到六位数美元），而是安全提交给了特斯拉的漏洞奖励平台。两周后，漏洞他收到了一封邮件，奖励机制附带一张1.5万美元的安全支票，以及一封来自马斯克本人的漏洞简短回复：“干得漂亮。”
这件事暴露了一个行业潜规则：多数科技公司嘴上说着“欢迎白帽黑客”，奖励机制身体却很诚实。安全特斯拉算是漏洞少数真金白银兑现承诺的，但更多企业的奖励机制“安全漏洞奖励计划”形同虚设——要么奖金低得可笑，要么审核流程拖到你怀疑人生，要么干脆在收到报告后反手一个律师函警告。
漏洞奖励机制的底层逻辑其实很简单：用市场价的一小部分，买断黑客的恶意。一个零日漏洞在黑市能卖20万，企业如果只肯出5000块，那聪明的黑客自然会把漏洞卖给更“识货”的买家。这不是道德问题，是经济理性。真正的安全专家都明白，与其堵住所有漏洞（这根本不可能），不如给漏洞一个合法的出口。
但现实中，很多企业的做法让人哭笑不得。某知名社交平台曾把漏洞奖金设为50美元，还要求报告者签署保密协议。有个高中生发现了一个能获取所有用户私密照片的漏洞，提交后等了四个月，得到的回复是“经评估，该问题不在奖励范围内”。他转头把漏洞信息发到了暗网，成交价是8万美元。你猜那个平台后来花了多少钱修复这个漏洞？包括公关费、法律咨询费和用户补偿，超过200万。
做得好的案例也有。Google的漏洞奖励计划已经运行了十几年，累计发放超过5000万美元。他们有个细节特别聪明：不仅奖励发现漏洞的人，还奖励“修复方案”。如果你不仅指出问题，还给出具体修补代码，奖金翻倍。这直接拉高了报告质量——很多提交不再是“这里有个洞”，而是“这里有个洞，我建议这样补”。反观某些国内厂商，报告提交后连个自动回复都没有，黑客等了三周问进度，得到的答复是“我们正在研究”。研究什么？研究怎么不花钱吗？
另一个被忽视的维度是：漏洞奖励不该只盯着外部黑客。内部员工才是发现漏洞的第一道防线——他们天天看着代码，知道哪里最脆弱。但很多公司对内部报告的态度更恶劣，甚至有人因为报告漏洞被HR约谈，理由是“你为什么要测试生产环境”。这种文化下，员工发现漏洞的第一反应是装作没看见，而不是主动上报。
真正的漏洞奖励机制，本质上是企业安全预算的“保险”。你花10万在漏洞上，可能避免了一次价值千万的数据泄露。这账不难算，但很多公司还是把钱花在买安全设备、请安全顾问这些“看得见”的地方，却不愿意给真正发现问题的人一点甜头。设备是死的，人是活的——再贵的防火墙也挡不住一个内部开发者的失误，但一个合理的奖励机制，能让成千上万双眼睛帮你盯着代码。
特斯拉那个案例还有个后续。sqr00t用那笔奖金买了一套机械键盘，然后继续研究特斯拉的系统。他说：“我不是缺这钱，我是想知道他们是否真的在意安全。”这话挺实在。漏洞奖励的金额高低，直接反映了一家公司的安全态度——你要是连几百块钱都抠，黑客们自然心里有数。